노트북을 사용하는 개발자가 공개 마스터 엔드포인트가 없는 비공개 GKE 클러스터 제어 영역에 kubectl 액세스해야 합니다. 제어 영역을 공개적으로 노출하지 않고 안전하게 액세스할 수 있는 방법은 무엇입니까?

정답은 클러스터 VPC에 배스천 VM을 생성하고 이를 사용하여(SSH 또는 gcloud proxy) 비공개 제어 영역에 연결하는 것입니다. 비공개 GKE 클러스터는 제어 영역이 공개적으로 노출되지 않으므로, 클러스터 VPC 내부에 배스천 호스트를 두어 내부 네트워크를 통해 제어 영역에 접근하는 것이 가장 안전하고 일반적인 방법입니다. 개발자는 자신의 노트북에서 이 배스천 VM에 SSH로 접속하거나 gcloud 프록시 기능을 사용하여 제어 영역에 접근할 수 있습니다. 오답 설명: 제어 영역이 인터넷에서 연결될 수 있도록 Cloud NAT를 구성하는 것은 제어 영역을 공개적으로 노출하지 않으려는 목적과 상충됩니다. Cloud NAT는 내부 인스턴스가 외부로 나가는 트래픽에 공용 IP를 제공하는 역할을 합니다. 노트북 IP가 인터넷에서 비공개 마스터 IP에 직접 연결될 수 있도록 VPC 방화벽 규칙을 추가하는 것은 비공개 제어 영역의 보안 원칙을 위반합니다. 이는 제어 영역을 인터넷에 노출하는 것과 같습니다. 노드 중 하나에 공개 IP를 할당하고 이를 제어 영역 프록시에 사용하는 것은 보안상 좋지 않습니다. 워커 노드는 애플리케이션을 실행하는 데 사용되며, 제어 영역 접근을 위한 프록시로 사용하는 것은 불필요한 공격 표면을 만들고 보안 위험을 증가시킵니다.